Forscher konstatierten die Ausschaltung von Sicherheitsbewusstsein
Auf der Hackerkonferenz Black Hat in Las Vegas wurden dazu Versuchsergebnisse mit einer Studentengruppe präsentiert, die deutlich zeigten wie das menschliche Verhalten von Neugier geprägt ist, wie golem.de berichtete. In mehreren Tests wurde deutlich, dass trotzdem sich die Teilnehmer der Gefahren von gefährlichen Links bewusst waren, eine hohe Klickrate von 20 % zu verzeichnen war.
Eine hohe Klickrate, die die Forscher erstaunte, da eine vorhergehende Befragung deutlich machte, dass sich 82 Prozent der Teilnehmer der Gefahren bewusst waren, die durch das Anklicken eines Links entstehen können. Es stellte sich also heraus, dass es zwischen diesem Bewusstsein und dem Klickverhalten keine Verbindung gebe. Einflussfaktoren wie schöne Bilder und gute Stimmung von einer Silvester-Party wirkten hier ebenfalls anregend auf die Neugier der Nutzer.
Triebkraft Neugier
Es war die reine Neugier, die 34 Prozent der Nutzer dazu gebracht hat eine Mail zu öffnen obwohl diese nicht direkt an sie persönlich gerichtet war. Mit der Aufforderung die Bilder weiterzugeben konnten die Forscher die Neugier noch zusätzlich entfachen. 27 Prozent der Nutzer fielen auf den falschen Inhalt herein, da sie vorher tatsächlich auf einer Party gewesen waren. 16 Prozent dachten demnach, dass sie den Absender (Allerweltsnamen wie Müller oder Bauer) kennen würden.
In Anbetracht der ernüchternden Ergebnisse stehen die Forscher vor die Frage:
Wie sollen sich Firmen oder Organisationen vor sogenannten Spear-Phishing-Angriffen schützen?
Fazit:
"Mit sorgfältig gewähltem Design und Zeitpunkt der Nachricht sollte man praktisch jeden Menschen dazu bringen können, auf einen Link zu klicken. Denn jede Person interessiert sich für etwas Bestimmtes oder findet sich in einer Lebenssituation wieder, die Inhalt und Kontext der Nachricht entspricht."
Die Lösung: defense in depth
Das Gegenteil der Neugier würde ein hohes Misstrauen bedeuten, ein Umstand, der schließlich die Arbeitseffizienz zu stark beeinträchtigen würde. So schreiben die Forscher:
"Wenn wir diesen Leuten beibringen, vorsichtig mit Rechnungen umzugehen, werden sie bald die richtigen übersehen, was sicherlich nicht begrüßt werden dürfte."
Die Lösung besteht in diesem Fall in einer tief gestaffelten Sicherheitsarchitektur (defense in depth) Nutzer und Organisationen geschützt werden. Die menschliche Neugier sei schließlich eine hoffentlich nicht zu patchende Sicherheitslücke.
